先日、「Microsoft Video ActiveX コントロールゼロデイにより「WORM_KILLAV」侵入」について報告したばかりですが、新たに、同社製品 “Microsoft Office Web コンポーネント” のセキュリティホールを利用したゼロデイ攻撃が確認されました。このセキュリティホールは、ActiveXコントロールであるオブジェクト “OCW 10” および “OCW 11” に存在します。これらのオブジェクトは、IE（Internet Explorer）でスプレッドシートを表示する際に利用されます。まるで次の同社の「Patch Tuesday」にタイミングを合わせたかのように、サイバー犯罪者もまた、この攻撃で自身の「更新版」をリリースしました。

図1 「JS_SHELLCODE.BH」のスクリプトコード

(さらに…)

　米国・韓国の大手Webサイトを襲った今回の分散型サービス拒否（DDoS）攻撃では、メールを介して感染活動を行うワームが、攻撃の主役となりました。

　このワームは、トレンドマイクロの製品では「WORM_MYDOOM.EA」として検出され、メールの添付ファイルとして感染ユーザの受信箱に侵入します。ワームは、実行されると、自身をシステムサービス（WMI Performance Configuration および WmiConfig）として登録し、Windows起動時に確実に実行されるように設定します。そして、ワームは、コンポーネントファイルを作成し、このファイルをDDoS攻撃の標的リストと共に複数の感染コンピュータに拡散します。

　次に、ワームは、感染コンピュータ上のIE（Internet Explorer）の＜Temporary Internet Files＞フォルダ内にある全ファイルからメールアドレスおよびドメイン名を収集します。ワームは、また、収集したドメイン名の先頭に、andrew、brenda、david、georgeといったユーザ名（詳細についてはこちら）を追記し、さらにメールアドレスを作成、追加します。このワームの脅威は、これだけではありません。ワームは、メールアドレス収集・追加作成だけにとどまらず、メール・サーバ・アドレスをも収集します。このサーバアドレスもメールアドレス同様、集めたドメイン名の先頭に特定の文字列を追記し、これにより、サーバアドレス収集が可能となります。ワームは、自身のSMTPエンジンを介してメールを送信する機能を備えており、自身のコピーをメールに添付し、上記の方法で作成したアドレスに送信することにより感染活動を実行します。ただし、コードには、「WORM_MYDOOM.EA」がメールにより拡散するように仕組まれていることが判明されていますが、トレンドラボでは、未だこのメールによる感染活動が成功裏に終わった検体を取得できていません。

　トレンドマイクロのウイルス解析チームは、この不正プログラムおよび関連コンポーネントの正体を見破るために分析を続けており、有益な情報が入り次第、改めて投稿する予定です。

　ワームは、ネットワーク分析ツールに関連したファイルを削除します。これにより、感染ユーザに気づかれることなく、DDoS攻撃ツールとして活動でき、標的とするWebサイトへのDDoS攻撃が可能となります（図１参照）。

(さらに…)

　キングオブポップことマイケル・ジャクソンの突然の死亡から1週間がたちますが、まだ正式な死因は発表されていません。そんな中、世間では死因に関する憶測は止まるところを知らないようです。スパム送信者は、この話題を見逃すはずはなく、スパム活動に多いに悪用されています。トレンドマイクロでは、マイケル・ジャクソン関連のスパムで「X-ファイル」と名乗る送信者からの「誰がマイケル・ジャクソンを殺したか？（Who killed Michael Jackson?）」という件名のスパムメールを確認しました。

　このスパムメールの内容は、「マイケル・ジャクソンが殺害された」とほのめかし、メール内のURLをクリックすると殺害者についての情報を見ることができると説明しています。

図1. スパムメールのサンプル

(さらに…)

　トレンドマイクロのソリューションアーキテクト、Rik Fergusonがトレンドマクロ関連ブログサイト「Countermeasures」で、Twitterユーザを標的にした新しい脅威を取り上げています（英語情報のみ：「Targeted Attack Designed to Infect Both Macs and PCs.」）。この攻撃の概要は以下のとおりです。

　Twitterユーザ間ではよく知られている、ベンチャー投資家でコラムニストのGuy Kawasaki氏のTwitterアカウントがハッキングされ、不正な「tweet（つぶやき）」が投稿されました（図1参照）。その「つぶやき」には、リンクが含まれており、TVシリーズ「Gossip Girl」で知られる女優、Leighton Meesterのアダルトビデオが無料でダウンロードできると投稿されていました。このビデオテープ自体は、実際存在し、時期的にもぴったりでしたが、リンクは偽物でした。ユーザがリンクをクリックすると、複数の自動リダイレクトが発生し、結果として、アダルトビデオではなく不正プログラムをダウンロードするように誘導されます。

図1 Leighton Meesterのアダルトビデオへのリンクが表示されたGuy Kawasaki氏のTwitterアカウント

(さらに…)

　ポップ界のキング、マイケル・ジャクソン（Michael Joseph Jackson）のショッキングな急死が報じられて間もなく、トレンドマイクロのシニアウイルス解析者Loucif Kharouniは、この話題に便乗した不正なリンクがWindows Live メッセンジャー / MSN メッセンジャー（以下 Messenger）にスピム（無差別に送信される迷惑メッセージ）として送信されていることを確認しました。このリンクは、マイケル・ジャクソンが息を引き取る直前の、病院での最期の瞬間に関する情報にリンクするようにと見せかけていました。以下は、不正なリンクを含む複数のテンプレートメッセージが表示されたMessengerにおける、会話ウインドウのスクリーンショットです。

図1 不正なリンクを含むメッセージが表示された会話ウインドウのスクリーンショット

(さらに…)

2009/06/08～2009/06/15

　「THREAT」とは、「脅威」を意味する英単語です。サイバー空間では今日も世界中でさまざまな問題が報告されています。

　本連載では、情報セキュリティ関連情報収集の効率化を目的として英語ブログ「TrendLabs Malware Blog」が今週1週間に配信した記事へのリンクを要約とともにお届けしています。国外の事例を知ることは、先進的な自衛策を検討する上で、有効な情報源の一つになり得ます。是非、英文記事にもアクセスしてみてください。 (さらに…)

　HijackThis™ は、トレンドマイクロで提供している無料ツールです。このツールは、Windows系のコンピュータにおける、ウイルスやスパイウェア、そのほかの不正プログラム等により、システム設定が変更されていないかどうかを素早くスキャンし、確認することができます。ただし、このツールは、変更されたレジストリキーやファイルシステム等をリストアップし、それらが迷惑なプログラム等により行われたであろうという可能性の指摘はできますが、その変更自体が不正活動であるかの判断まではできません。

　このツールで得られたログ情報をもとに、不正活動を判断ができるのは、このツールの使用にたけた情報技術（ＩＴ）専門家ぐらいでしょう。通常、こうした判断は、HijackThisユーザたちによるコミュニティの助けなしでは無理なようです。ユーザのほとんどは、コミュニティから提供される分析レポートやオンライン評価などを頼りに判断を行います。 (さらに…)